Dlaczego RODO nie wystarczy, gdy firma zaczyna pracować z AI
Te dwa rozporządzenia obowiązują obok siebie i żadne nie jest ważniejsze od drugiego. Unijny ustawodawca wprost zapisał, że AI Act nie ma wpływu na stosowanie RODO, więc firma, która wdrożyła ochronę danych osobowych, nie może uznać tematu za zamknięty.
Różnica jest fundamentalna. RODO chroni dane osobowe ludzi, a AI Act traktuje system sztucznej inteligencji jak produkt, którego bezpieczeństwo trzeba zapewnić. Inny jest też zakres: RODO mówi, jak przetwarzać dane, a AI Act, jak projektować i wdrażać systemy AI. System zgodny z RODO może więc nie spełniać wymogów AI Act, na przykład w kwestii nadzoru człowieka czy jakości danych treningowych.
Najczęstszy błąd to myślenie, że wystarczy jedna ocena ryzyka. Tymczasem RODO wymaga oceny skutków dla ochrony danych (DPIA), gdy nowa technologia stwarza wysokie ryzyko dla praw osób. Systemy AI niemal zawsze takie kryteria spełniają, bo profilują użytkowników i podejmują decyzje automatycznie. Do tego AI Act dodaje własną ocenę wpływu na prawa podstawowe, która dotyczy szerszego zakresu niż tylko dane osobowe.
Na szczęście te dwie oceny można połączyć. AI Act przewiduje, że jeśli firma i tak musi wykonać DPIA z RODO, ocena z AI Act może ją uzupełniać, zamiast dublować pracę. To istotne, bo kary za naruszenia obu rozporządzeń się sumują. W praktyce oznacza to, że wdrożenie AI bez sprawdzenia obu ścieżek to ryzyko, które trudno uzasadnić biznesowo.
Czy każdy system AI w firmie musi przejść podwójną kontrolę prawną
Krótko mówiąc: nie, podwójnej kontroli nie ma, ale podwójny zestaw obowiązków jak najbardziej. AI Act i RODO to dwa osobne rozporządzenia Unii Europejskiej, które działają obok siebie i żadne nie zastępuje drugiego. System zgodny z RODO może więc wciąż nie spełniać wymogów AI Act, na przykład jeśli chodzi o nadzór człowieka nad jego działaniem.
Różnica jest prosta. RODO reguluje, jak przetwarzasz dane osobowe, a AI Act podchodzi do systemu sztucznej inteligencji jak do produktu, którego bezpieczeństwo musisz zapewnić. Jeśli Twój system AI przetwarza dane osobowe, podlega RODO zawsze, niezależnie od klasyfikacji w AI Act. Jeżeli dodatkowo jest systemem wysokiego ryzyka, musisz spełnić wymogi obu aktów naraz.
Weźmy przykład systemu AI analizującego CV kandydatów. To jednocześnie system wysokiego ryzyka i system przetwarzający dane osobowe, więc musi spełnić oba zestawy wymogów. RODO wymaga wtedy oceny skutków dla ochrony danych, czyli analizy ryzyka związanego z przetwarzaniem. AI Act dokłada do tego ocenę szerszego wpływu systemu na prawa podstawowe osób, a także obowiązek nadzoru człowieka nad decyzjami.
Te dwie oceny mogą się uzupełniać. Jeśli firma i tak musi wykonać ocenę skutków z RODO, ocena z AI Act może ją rozszerzyć, zamiast zmuszać Cię do podwójnej pracy. Kary za naruszenia obu przepisów mogą się kumulować, dlatego warto traktować zgodność z nimi jako jeden wspólny projekt, a nie dwie osobne formalności.
Które systemy AI wymagają oceny ryzyka – i czy to ta sama ocena, którą znasz z RODO
Zacznijmy od konkretu: system AI, który analizuje CV kandydatów, jest jednocześnie systemem wysokiego ryzyka w rozumieniu AI Act i systemem przetwarzającym dane osobowe w rozumieniu RODO. Nie masz wyboru, który zestaw przepisów zastosować. Oba obowiązują równolegle i oba musisz spełnić, bo to dwa całkowicie niezależne reżimy prawne, które są względem siebie równorzędne.
Kluczowa różnica jest prosta: RODO reguluje, jak przetwarzasz dane osobowe, a AI Act reguluje, jak projektujesz i wdrażasz systemy AI. System może być idealny pod kątem ochrony danych, a jednocześnie nie spełniać wymogów dotyczących nadzoru człowieka czy jakości danych treningowych. Dlatego oceny ryzyka robisz osobno, choć można je ze sobą powiązać.
DPIA, czyli ocena skutków dla ochrony danych z art. 35 RODO, znasz już z codziennej pracy. Robisz ją, gdy przetwarzanie danych z użyciem nowych technologii może powodować wysokie ryzyko dla praw osób. Systemy AI niemal zawsze spełniają te kryteria, bo w grę wchodzi profilowanie, automatyczne podejmowanie decyzji i często nieprzejrzyste algorytmy. AI Act dokłada do tego drugą ocenę, FRIA, która dotyczy szerszego wpływu systemu wysokiego ryzyka na prawa podstawowe osób fizycznych. Dobra wiadomość jest taka, że jeśli masz obowiązek zrobić DPIA, ocena z AI Act może ją uzupełniać, zamiast dublować pracę.
W praktyce wygląda to tak, że jeden system wymaga od ciebie kilku obowiązków naraz. Dla systemu rekrutacyjnego będą to między innymi:
- ocena skutków dla ochrony danych (DPIA) według zasad RODO, bo przetwarzasz dane kandydatów
- ocena wpływu na prawa podstawowe (FRIA) według AI Act, bo system jest wysokiego ryzyka
- zapewnienie nadzoru człowieka nad decyzjami, które podejmuje system
- poszanowanie prawa kandydata, by nie podlegać decyzji opartej wyłącznie na automatycznym przetwarzaniu
- sprawdzenie, czy dane treningowe nie zawierają danych wrażliwych bez podstawy prawnej
Pamiętaj, że AI Act nie zastępuje RODO. Rozporządzenie wprost stanowi, że nie narusza przepisów o ochronie danych, a jego celem nie jest wpływanie na ich stosowanie. W praktyce oznacza to, że do każdego systemu AI podchodzisz dwa razy: raz jako administrator danych, drugi raz jako podmiot wdrażający system wysokiego ryzyka. Kary za naruszenia obu aktów mogą się kumulować, więc warto traktować te obowiązki jako całość, a nie dwie osobne sprawy.
Jak pogodzić automatyczne decyzje AI z prawem człowieka do decyzji podjętej przez ludzi
Automatyczne decyzje to obszar, w którym oba rozporządzenia muszą współpracować. RODO w art. 22 daje człowiekowi prawo, by nie podlegać decyzji opartej wyłącznie na automatycznym przetwarzaniu, jeśli wywołuje istotne skutki. AI Act dokłada do tego obowiązek nadzoru człowieka nad systemami wysokiego ryzyka. To znaczy, że nawet gdy system sam ocenia wniosek, ktoś z Twojego zespołu musi mieć realną możliwość weryfikacji i zmiany tej decyzji. W praktyce oznacza to, że nie wystarczy zainstalować narzędzie i zapomnieć o nim. System AI analizujący CV kandydatów to jednocześnie system wysokiego ryzyka i system przetwarzający dane osobowe, więc musi spełnić oba zestawy wymogów. To dwa niezależne reżimy prawne, które stosujesz równolegle. Kluczowa jest tu ocena skutków. RODO wymaga jej, gdy przetwarzanie danych z użyciem nowych technologii może powodować wysokie ryzyko dla praw osób. Systemy AI niemal zawsze spełniają te kryteria przez profilowanie i automatyczne podejmowanie decyzji. AI Act przewiduje, że jeśli i tak masz obowiązek wykonać ocenę skutków dla ochrony danych, ocena z AI Act może ją uzupełniać, zamiast dublować pracę. Zanim wdrożysz automatyzację, sprawdź, czy Twój przypadek wymaga takiej analizy.
Kto w Polsce skontroluje twoją firmę – i jakie kary grożą za błędy
Nad RODO w Polsce czuwa Prezes Urzędu Ochrony Danych Osobowych, czyli UODO. Ten urząd już dziś może kontrolować firmy i nakładać kary w sprawach, w których sztuczna inteligencja przetwarza dane bez wymaganej podstawy prawnej. Nad AI Act ma natomiast czuwać nowy, osobny urząd, który dopiero powstanie.
To oznacza, że przy jednym systemie AI możesz odpowiadać przed dwoma regulatorami naraz. Kary za naruszenia obu rozporządzeń potrafią się sumować. W praktyce urzędy sprawdzają przede wszystkim, czy system działa zgodnie z prawem i czy ktoś faktycznie nadzoruje jego pracę.
Zanim zaczniesz wdrażać narzędzie AI, warto przygotować się na kontrolę z obu stron. Sprawdź, czy twoja firma:
- ma udokumentowaną podstawę prawną do przetwarzania danych w systemie AI,
- przeprowadziła ocenę skutków dla ochrony danych, czyli analizę ryzyka, gdy system może poważnie wpłynąć na prawa osób,
- zapewnia nadzór człowieka nad decyzjami podejmowanymi automatycznie,
- potrafi wyjaśnić, na jakiej podstawie algorytm podjął konkretną decyzję.
System, który poprawnie chroni dane osobowe, może nadal nie spełniać wymogów dotyczących przejrzystości albo jakości danych treningowych. Dlatego oba akty prawne traktuj jak dwie strony tej samej monety i sprawdzaj je równolegle, zanim system trafi do codziennej pracy.
Od którego z tych dwóch przepisów zacząć porządkowanie dokumentacji
Zacznij od RODO. Ono działa już dziś i dotyczy każdego systemu AI, który przetwarza dane osobowe, niezależnie od tego, jak ten system zostanie sklasyfikowany. AI Act to drugi, równorzędny zbiór wymogów, który nie zastępuje RODO ani nie zmienia jego zasad.
Najprościej myśleć o tym w ten sposób: RODO chroni dane osobowe, a AI Act reguluje sam system sztucznej inteligencji i traktuje go jak produkt, którego bezpieczeństwo trzeba zapewnić. Oba akty stosujesz równolegle, a nie zamiennie.
Dlatego porządkowanie dokumentacji zacznij od sprawdzenia, jak przetwarzasz dane osobowe. System AI analizujący CV kandydatów jest jednocześnie systemem wysokiego ryzyka według AI Act i systemem przetwarzającym dane osobowe według RODO, więc musi spełnić oba zestawy wymogów.
Kolejny krok to ocena skutków dla ochrony danych, czyli dokument, w którym sprawdzasz, czy przetwarzanie może powodować wysokie ryzyko dla praw osób. Systemy AI niemal zawsze spełniają kryteria wymagające takiej oceny, bo wiążą się z profilowaniem i automatycznym podejmowaniem decyzji.
Dobrą wiadomością jest to, że ocena z AI Act może uzupełniać dokument z RODO, zamiast dublować pracę. W praktyce oznacza to, że raz dobrze przygotowany proces porządkowania dokumentacji wystarczy, żeby objąć oba rozporządzenia.
